Mr.Kaplan

Descripción

MrKaplan es una herramienta diseñada para ayudar a los red teamers a permanecer ocultos eliminando evidencias de ejecución. Funciona guardando información como la hora de ejecución, una instantánea de archivos y asociando cada evidencia al usuario correspondiente.

Esta herramienta está inspirada en MoonWalk, una herramienta similar para máquinas Unix.

Puedes leer más al respecto en la página de la wiki.

Características

Detener el registro de eventos.
Limpiar artefactos de archivos.
Limpiar artefactos del registro.
Puede ejecutarse para múltiples usuarios.
Puede ejecutarse como usuario y como administrador (muy recomendado ejecutarlo como administrador).
Puede guardar marcas de tiempo de archivos.
Puede excluir ciertas operaciones y dejar artefactos para los equipos azules.

Uso

Antes de comenzar tus operaciones en el ordenador, ejecuta MrKaplan con la bandera 'begin' y cuando termines, ejecútalo de nuevo con la bandera 'end'.
NO ELIMINES el archivo MrKaplan-Config.json hasta que lo vuelvas a ejecutar con la bandera 'end', de lo contrario, MrKaplan no podrá usar la información.

IOCs

Proceso de PowerShell que accede a los artefactos mencionados en la página de la wiki.
PowerShell importando un blob base64 extraño.
Proceso de PowerShell que realiza manipulación de tokens.
Clave de registro de MrKaplan: HKCU:\Software\MrKaplan.

Agradecimientos

Aviso legal

No soy responsable de ninguna manera por ningún tipo de daño que se cause a tu ordenador/programa como consecuencia de este proyecto. Acepto con gusto contribuciones, ¡haz un pull request y lo revisaré!

MrKaplan

Más Populares